Sophos: Komprometterade identiteter låg bakom 79 % av årets ransomware-attacker

Sophos senaste rapport visar att komprometterade identiteter nu är den vanligaste vägen in för ransomware-attacker. Samtidigt ökar andelen attacker där data krypteras, trots att både lösenkrav och lösensummor fortsätter att minska.

Sophos har publicerat den sjunde upplagan av sin årliga rapport State of Ransomware, baserad på en undersökning bland IT- och cybersäkerhetsansvariga i 17 länder. Rapporten visar att fyra av fem ransomware-attacker under det senaste året, motsvarande 79 procent, började med komprometterade identiteter. Därmed har identitetsbaserade intrång blivit den vanligaste initiala attackvektorn för ransomware.

Enligt Sophos speglar utvecklingen ett tydligt skifte i angriparnas metoder. För första gången på fyra år är utnyttjade sårbarheter inte längre den vanligaste grundorsaken till ransomware-attacker. I stället dominerar skadlig e-post (26 procent) och nätfiske (24 procent), vilket visar att cyberkriminella i allt högre grad fokuserar på att komma över användarnas inloggningsuppgifter i stället för att utnyttja tekniska säkerhetsbrister.

Samtidigt visar rapporten att attacker som utnyttjar sårbarheter i exempelvis brandväggar fortfarande är särskilt kostsamma. I 59 procent av dessa fall uppgick lösenkravet till minst en miljon dollar, jämfört med 48 procent för samtliga ransomware-attacker.

Rapporten visar också att 56 procent av de organisationer som drabbades av ransomware fick sina data krypterade. Det innebär en ökning jämfört med föregående år och bryter den nedåtgående trend som noterats under de senaste två åren.

Viktiga resultat i rapporten

• Två tredjedelar av ransomware-offren (67 procent) uppger att ransomware-attacken också var deras allvarligaste identitetsincident, vilket ytterligare understryker att komprometterade identiteter blivit en central angreppsmetod.
• I 56 procent av ransomware-attackerna lyckades angriparna kryptera organisationens data. Av dessa incidenter omfattade 16 procent både datakryptering och datastöld. Andelen har ökat från 50 procent 2025, men ligger fortfarande under toppnivån på 75 procent som noterades 2023.
• När data krypterades valde 48 procent av organisationerna att betala lösensumman. Den genomsnittliga betalningsgraden under de senaste fyra åren ligger därmed på cirka 50 procent.
• Endast 34 procent av organisationer med 100 till 250 anställda lyckades stoppa attacken innan kryptering eller utpressning genomfördes. Bland organisationer med 3 001 till 5 000 anställda var motsvarande andel 46 procent.
• I 97 procent av ransomware-attackerna som började med komprometterade inloggningsuppgifter var någon form av multifaktorautentisering (MFA) aktiverad. Enligt Sophos visar detta att MFA fortfarande är en viktig säkerhetsåtgärd, men att den inte räcker på egen hand om den inte är korrekt implementerad och täcker alla åtkomstpunkter.
• Storbritannien hade det högsta medianvärdet för lösenkrav i undersökningen, med 2,5 miljoner dollar.

Snabbare återställning trots ökade kostnader

Rapporten visar också att organisationer blivit bättre på att återställa verksamheten efter en ransomware-attack. Förbättrade säkerhetskopior och effektivare återställningsrutiner innebär att 55 procent kunde återställa verksamheten inom en vecka, medan 16 procent lyckades göra det på mindre än ett dygn.

Samtidigt fortsätter många organisationer att förhandla med angriparna. Av dem som valde att betala lösensumman lyckades 51 procent förhandla ned lösenkravet till ett belopp under angriparnas ursprungliga krav. Medianvärdet för lösenkraven har dessutom minskat med 65 procent under de senaste två åren. Andelen organisationer som betalar lösensummor har sjunkit till 48 procent, den näst lägsta nivån sedan Sophos började mäta utvecklingen.

Trots detta fortsätter de totala återställningskostnaderna att öka. Den genomsnittliga kostnaden för att återställa verksamheten efter en ransomware-attack uppgår nu till 1,7 miljoner dollar per incident.

Sophos rekommenderar

För att minska risken för ransomware rekommenderar Sophos att organisationer:

• behandlar identitet som en central del av säkerhetsarbetet genom att införa avancerad övervakning av identitetshot, använda nätfiskeresistent multifaktorautentisering och regelbundet granska både mänskliga och maskinella identiteter,
• stärker säkerhetskopiering och återställning genom att testa säkerhetskopior regelbundet, lagra dem offline eller i oföränderliga format samt integrera dem i organisationens incidenthanteringsplan,
• arbetar systematiskt med exponeringshantering genom kontinuerlig patchning, prioritering av internetexponerade system och användning av AI-stödda verktyg för att identifiera och åtgärda sårbarheter snabbare,
• minskar exponeringen via brandväggar genom att säkerställa snabba säkerhetsuppdateringar, begränsa internetexponerade administrationsgränssnitt och ansluta brandväggar till XDR- och MDR-plattformar för snabbare upptäckt och respons på attacker.